网络安全面试十问十答
原创
ladon
ladon
306Safe
2026年7月1日 09:12
北京
在小说阅读器读本章
去阅读
网络安全面试十问十答
从SQL注入到零信任，面试官必问的安全核心题
Q1：SQL注入的原理是什么？如何防御？
原理：SQL注入利用应用程序对用户输入缺乏有效过滤，将恶意SQL代码拼接到查询语句中，使数据库执行非预期操作。本质上与代码注入相同——数据被当作代码执行。
-- 典型注入payload
' OR 1=1 --
-- Union查询提取数据
' UNION SELECT username,password FROM users --
防御：
- 参数化查询（首选）
：预编译SQL语句，参数与SQL代码分离，从根本上杜绝注入
* ORM框架
：如SQLAlchemy、Hibernate，底层自动参数化
* 输入校验
：白名单验证输入类型和长度（作为纵深防御补充）
* 最小权限
：数据库账户仅授予必要权限，禁止应用账户使用DBA
Q2：XSS三种类型的区别？
1. 反射型XSS（Non-Persistent）
恶意脚本通过URL参数传入，服务端将其\"反射\"回页面。需诱导用户点击特制链接，一次性触发。
2. 存储型XSS（Persistent）
恶意脚本被持久化存储到数据库（如评论区），所有访问该页面的用户都会触发。危害最大，无需诱导点击。
3. DOM型XSS
漏洞在客户端JavaScript中，通过修改DOM环境执行恶意代码。服务端输出无问题，完全是前端逻辑缺陷。
核心防御：输出编码（HTML/JS/URL上下文分别编码）+ CSP（Content-Security-Policy）+ HttpOnly Cookie
Q3：CSRF攻击原理与防御？
原理：攻击者构造恶意页面，利用浏览器自动携带Cookie的特性，在用户已登录目标网站的情况下，冒充用户发起请求。
三道防线：
- CSRF Token
：服务端生成随机Token嵌入表单，提交时校验。攻击者无法获取该Token（同源策略限制）
* SameSite Cookie
：设为Strict或Lax，禁止跨站请求携带Cookie。现代浏览器默认Lax
* 验证Origin/Referer
：检查请求头中的来源，拒绝跨域请求
Q4：什么是零信任架构？
核心原则：\"Never trust, always verify\"。传统架构默认内网可信，零信任不信任任何网络位置，无论在内网还是外网，每次访问都需验证身份和授权。
三大支柱：
- 身份验证
：基于用户身份+设备状态+环境上下文的持续验证，而非一次性登录
4. 微隔离
：将网络划分为细粒度安全域，限制横向移动
6. 最小权限
：仅授予完成任务所需的最低权限，Just-In-Time访问
Google BeyondCorp和NIST SP 800-207是零信任的两个重要参考架构。
Q5：对称加密与非对称加密的区别？
| 维度 | 对称加密 | 非对称加密 |
|---|---|---|
| 密钥 | 加解密用同一密钥 | 公钥加密，私钥解密 |
| 速度 | 快（AES可达10Gbps+） | 慢（RSA约100Mbps） |
| 用途 | 大数据量加密 | 密钥交换、数字签名 |
| 代表 | AES-256-GCM | RSA-2048, ECC |
实战中通常混合使用：非对称加密协商出会话密钥，再用对称加密传输数据——这就是TLS的握手原理。
Q6：ARP欺骗原理与防御？
原理：ARP协议无认证机制，攻击者在局域网内发送伪造ARP应答，将网关MAC地址映射到攻击者网卡，实现中间人攻击（MITM）——截获、篡改、转发受害者的所有流量。
防御：
- 静态ARP绑定
：将网关IP-MAC绑定写入ARP缓存，免疫欺骗
* DAI（Dynamic ARP Inspection）
：交换机将ARP请求与DHCP Snooping表比对，丢弃不匹配的ARP应答
* 802.1X端口认证
：未认证设备无法接入网络
Q7：日志分析中如何发现异常？
五步方法论：
- 基线建立
：统计正常时段的请求量、响应码分布、访问源Top-N，建立行为基线
4. 异常检测
：偏离基线即告警——如凌晨3点异常登录、某IP 5分钟内404达500次、单账户多地域同时在线
6. 关联分析
：将不同日志源关联——Web日志4xx激增+IDS告警+账户锁定，三重验证确认攻击
8. 时间线还原
：按时间轴排列相关事件，还原攻击链路
10. IOC提取
：提取恶意IP、UA、URL模式，更新封禁规则
Q8：应急响应的标准流程？
基于NIST SP 800-61和PICERL模型：
- Preparation
：预案制定、团队组建、工具部署、演练执行
4. Identification
：确认事件类型、影响范围、严重等级
6. Containment
：短期遏制（隔离主机、封禁IP）+ 长期遏制（补丁、配置加固）
8. Eradication
：清除恶意软件、删除后门账号、修复漏洞
10. Recovery
：恢复业务、持续监控确认无复发
-
Lessons Learned
：复盘报告、流程改进、培训补充
Q9：什么是供应链攻击？
定义：攻击者不直接攻击目标，而是渗透其上游依赖（开源库、构建工具、更新通道），在可信组件中植入恶意代码，随正常分发链路到达下游所有用户。
典型案例：
- SolarWinds（2020）
：Orion更新包被植入后门，1.8万客户受影响，包括美国财政部、国土安全部
* XZ Utils（2024）
：开源压缩工具被植入后门，影响全球Linux发行版
* JS恶意包
：npm/PyPI上仿冒流行包名，安装时窃取环境变量中的密钥
防御核心：SBOM（软件物料清单）+ 锁定依赖版本 + CI/CD流水线安全扫描 + 代码签名验证。
Q10：OWASP Top 10 2025有哪些变化？
对比2021版，2025版最大变化：
- 新增#1：LLM应用安全风险
——Prompt Injection从概念威胁正式升级为Top 1，涵盖直接注入、间接注入、工具调用劫持
* 强化：软件和数据完整性失败
——供应链攻击、CI/CD管道污染、AI模型投毒统一归入此类
* 合并：SSRF与安全配置错误
——边界配置问题合并处理
* 持续关注
：注入、失效访问控制、加密失败仍是常青树
安全面试不是背题，是理解攻防的思维方式
每道题背后都是一条完整的攻防链路
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论